CRISC คืออะไร — คู่มือเตรียมสอบ Certified in Risk and Information Systems Control

ในโลกของ IT Governance — CRISC (Certified in Risk and Information Systems Control) คือ Certification เดียวที่เน้นด้าน IT Risk Management โดยเฉพาะ ออกโดย ISACA ซึ่งเป็นองค์กรระดับสากลที่กำหนดมาตรฐานด้าน IT Governance, Audit และ Risk Management CRISC ได้รับการยกย่องให้เป็นหนึ่งใน Certification ที่ให้ผลตอบแทนสูงสุด ในอุตสาหกรรม IT ต่อเนื่องหลายปี

CRISC คืออะไร

CRISC (Certified in Risk and Information Systems Control) เป็น Certification ที่พิสูจน์ว่าผู้ถือใบรับรองมีความเชี่ยวชาญในการ ระบุ, ประเมิน, จัดการ และลดความเสี่ยงด้าน IT (IT Risk) รวมถึงการออกแบบ, นำไปใช้ และดูแล Information Systems Controls เพื่อลดความเสี่ยงเหล่านั้น [1]

สิ่งที่ทำให้ CRISC โดดเด่น:

• Certification เดียวที่เน้น IT Risk Management — ไม่มี Cert อื่นใดที่เจาะลึกด้านนี้โดยเฉพาะ
• เชื่อมโยง IT Risk กับ Business Objectives — ไม่ใช่แค่ Technical Risk แต่รวมถึง Business Impact
• เงินเดือนสูงสุดในกลุ่ม IT Cert — จัดอยู่ในอันดับต้นๆ ของ Highest-Paying IT Certifications ติดต่อกันหลายปี [5]
• มีผู้ถือมากกว่า 38,000 คนทั่วโลก — จำนวนน้อยกว่า CISA มาก ทำให้เป็นที่ต้องการสูง

CRISC ได้รับการรับรองตามมาตรฐาน ANSI/ISO/IEC 17024 และเป็นที่ต้องการในหลายอุตสาหกรรม โดยเฉพาะ:

• สถาบันการเงิน — บริหารความเสี่ยงด้าน IT ตามข้อกำหนด ธปท. และ Basel
• บริษัทขนาดใหญ่ — Enterprise Risk Management (ERM) ที่ครอบคลุม IT Risk
• บริษัทที่ปรึกษา — GRC Consulting (Governance, Risk, Compliance)
• หน่วยงานกำกับดูแล — ผู้กำกับดูแลที่ต้องเข้าใจ IT Risk อย่างลึกซึ้ง

เหมาะกับใคร

• IT Risk Manager ที่ต้องการใบรับรองเฉพาะทางด้าน IT Risk
• IT Auditor ที่ถือ CISA แล้ว และต้องการเสริมด้าน Risk Management
• Information Security Manager ที่ดูแล Risk Assessment และ Risk Treatment
• IT Manager / IT Director ที่รับผิดชอบด้าน Risk & Compliance
• Business Analyst ที่ทำงานด้าน Risk Analysis & Business Impact Assessment
• GRC Professional ที่ต้องการ Certification ด้าน Risk โดยเฉพาะ

Prerequisites อย่างเป็นทางการ: [1][2]

• สอบผ่าน CRISC Exam
• มีประสบการณ์ทำงานอย่างน้อย 3 ปี ใน IT Risk Management และ IS Control โดยต้องครอบคลุมอย่างน้อย 2 ใน 4 Domains ของ CRISC (Domain 1 หรือ 2 เป็น Required)
• ปฏิบัติตาม ISACA Code of Professional Ethics
• ปฏิบัติตาม CRISC Continuing Professional Education (CPE) Policy

ข้อสอบ CRISC เป็นอย่างไร

4 Domains ของ CRISC

“คิดแบบ Risk Manager” — แนวทางสำคัญในการสอบ

ข้อสอบ CRISC ต้องการให้คุณคิดจากมุมมอง Risk Manager:

• Risk-based Decision Making — ทุกคำตอบต้องคำนึงถึง Risk เป็นอันดับแรก
• Business Context — IT Risk ต้องเชื่อมโยงกับ Business Objectives เสมอ
• Risk Appetite & Tolerance — ต้องเข้าใจว่าองค์กรยอมรับความเสี่ยงได้แค่ไหน
• Risk Response: Avoid > Mitigate > Transfer > Accept — เข้าใจลำดับการจัดการความเสี่ยง
• Residual Risk — ความเสี่ยงที่เหลือหลังจาก Controls ต้องอยู่ในระดับที่ยอมรับได้
• Cost-Benefit Analysis — Control ที่แพงกว่ามูลค่าความเสียหาย ไม่ใช่ทางเลือกที่ดี

ค่าใช้จ่ายทั้งหมด

วิธีเตรียมตัวสอบ

Study Path ที่แนะนำ (3-4 เดือน)

Phase 1 — Overview & Risk Foundations (สัปดาห์ 1-2)

• อ่าน CRISC Review Manual ภาพรวมทั้ง 4 Domains
• ทำความเข้าใจ IT Risk Management Lifecycle
• ศึกษา Risk Frameworks: ISO 31000, COBIT, NIST RMF, COSO ERM

Phase 2 — Deep Dive แต่ละ Domain (สัปดาห์ 3-10)

• ศึกษาทีละ Domain ตามน้ำหนัก (เริ่มจาก Domain 3 → 1 → 4 → 2)
• ทำ Practice Questions หลังจบแต่ละ Domain
• จด Key Concepts: Risk Appetite vs Tolerance, Inherent vs Residual Risk, KRI vs KPI
• ศึกษา Case Studies จริงเกี่ยวกับ IT Risk Events

Phase 3 — Practice & Review (สัปดาห์ 11-14)

• ทำ Practice Exam เต็มรูปแบบ จับเวลา 4 ชั่วโมง
• วิเคราะห์ข้อที่ผิด — เข้าใจ “ISACA Way of Thinking” สำหรับ Risk
• ทบทวน Key Terminology จาก ISACA Glossary
• ฝึกวิเคราะห์ Risk Scenarios — ข้อสอบเน้น Scenario-based เป็นหลัก

ทรัพยากรเรียนรู้ที่แนะนำ

Key Concepts ที่ต้องเข้าใจลึก

คำแนะนำของบรรณาธิการ

คำแนะนำต่อไปนี้เป็นแนวทางเตรียมตัวของกองบรรณาธิการ ไม่ใช่คำพูดหรือประสบการณ์สอบที่ยืนยันจากผู้สอบรายใด และไม่รับประกันผลสอบ

• ฝึกเขียน risk scenario ให้แยก asset, threat, vulnerability, impact และ controls
• เปรียบเทียบทางเลือก risk response ตามบริบทและ risk appetite ไม่จัดลำดับคำตอบตายตัว
• ใช้ practice questions เพื่ออธิบายเหตุผลและทบทวนคำศัพท์ ไม่ใช้ใบรับรองเป็นคำรับประกันเงินเดือนเพิ่ม

การต่ออายุ Certification

CRISC ต้องต่ออายุทุกปีโดย [4]:

1. สะสม CPE Credits อย่างน้อย 20 ชั่วโมงต่อปี และ 120 ชั่วโมงภายใน 3 ปี
2. จ่าย ค่าธรรมเนียมรักษา Certification ประจำปี:
   • ISACA Member: $45 USD/ปี
   • Non-member: $85 USD/ปี
3. ปฏิบัติตาม ISACA Code of Professional Ethics

CRISC vs CISA vs CISM

แนะนำ: ถ้าทำงานสาย Risk Management — CRISC เป็น Cert ที่ตรงที่สุดและให้ผลตอบแทนสูง ถ้าทำสาย Audit → เริ่มจาก CISA ก่อน ถ้าทำสาย Security Management → พิจารณา CISM หลายคนถือ CISA + CRISC คู่กัน เพราะ Skill Set เสริมกัน

🎯 ITSL ให้บริการ IT Risk Assessment และ Compliance Consulting ตามมาตรฐานสากล — ดูบริการ Training ของเรา | เปรียบเทียบ Certification ทั้งหมด

แหล่งอ้างอิง

1. CRISC Certification Official Page — ISACA
2. CRISC Exam Content Outline — ISACA
3. ISACA CPE Policy & Certification Maintenance — ISACA
4. Highest-Paying IT Certifications — ISACA Newsroom
5. IT Risk Management Certifications — ITSL Knowledge Base